Compliance-Lexikon · NIS-2
BSI-Meldepflicht – Praxis
BSI-Meldepflicht wird von Auditoren nicht danach bewertet, ob das Thema bekannt ist, sondern ob eine belastbare, datierte Umsetzung nachweisbar ist. Dieser Artikel zeigt, was konkret vorzubereiten ist.
Was Auditoren konkret prüfen
Der Auditor erwartet keinen theoretischen Idealzustand, sondern einen nachvollziehbaren Prozess mit Verantwortlichkeiten, Fristen und Nachweisen. Existiert ein dokumentierter Prozess, der die 24-Stunden-Erstmeldung nach § 32 BSIG technisch und organisatorisch sicherstellt?
Häufige Fehler in der Praxis
- Meldefristen sind bekannt, aber kein Prozess stellt die Einhaltung sicher
- Zuständigkeit für die Erstmeldung ist nicht eindeutig zugewiesen
- Keine Eskalation außerhalb regulärer Arbeitszeiten vorgesehen
Praxis-Tipp
Die 24-Stunden-Frist beginnt mit Kenntnisnahme, nicht mit Abschluss der internen Untersuchung. Eine vorläufige Meldung mit Nachmeldung ist zulässig und in der Praxis der übliche Weg.
Der dreistufige Meldeprozess
NIS-2 sieht drei Meldestufen vor: die Frühwarnung innerhalb von 24 Stunden, die Meldung mit erster Bewertung innerhalb von 72 Stunden und den Abschlussbericht nach einem Monat. Jede Stufe hat eigene inhaltliche Mindestanforderungen, die im Meldeprozess vorab hinterlegt sein sollten.
Evidence-Anforderungen im Audit
Vorzulegen sind in der Regel: Dokumentierter Meldeprozess mit Fristenmatrix (24h / 72h / 1 Monat), Nachweis mindestens einer Testmeldung oder Simulation, Kontaktliste BSI. Eine strukturierte Ablage dieser Nachweise erspart im Audit-Fall zeitraubende Nachrecherchen.
Nächster Schritt
Compliance-Stresstest starten
Kostenloser Stresstest auf Basis der BAM-Objekte – unverbindlich, 20 Minuten.
Die strategische Einordnung – warum BSI-Meldepflicht über die technische Umsetzung hinaus Bedeutung hat – findet sich auf Ebene 3.